Odpady5 min czytania

Firma odpadowa a KSC — czy podlegam?

Kiedy firma odpadowa podlega KSC

Sektor gospodarowania odpadami znajduje się w załączniku nr 2 do ustawy o KSC. Oznacza to, że firmy odpadowe mogą być podmiotami ważnymi (średni lub duży przedsiębiorca z załącznika nr 2) lub kluczowymi (jeśli organ właściwy zidentyfikuje je jako takie na podstawie art. 7l ust. 2 pkt 1). W standardowym scenariuszu firma odpadowa będąca co najmniej średnim przedsiębiorcą (≥50 pracowników lub obrót ≥10 mln EUR) jest podmiotem ważnym.

Wielkość firmy odpadowejStatus KSCUwagi
Duży przedsiębiorca (≥250 osób lub obrót >50 mln EUR)Podmiot ważnyZałącznik nr 2 — sektory ważne
Średni przedsiębiorca (50–249 osób lub obrót 10–50 mln EUR)Podmiot ważnyZałącznik nr 2 — sektory ważne
Mały lub mikroprzedsiębiorca (<50 osób)Nie podlega KSCPoniżej progów wielkościowych
Organem właściwym do spraw cyberbezpieczeństwa dla sektora gospodarowania odpadami jest minister właściwy do spraw klimatu (art. 26 ust. 1 pkt 9i). Do niego kierowane są zgłoszenia incydentów za pośrednictwem właściwego CSIRT sektorowego.

Wyłączenie działalności głównej

Sektor gospodarowania odpadami jest jednym z nielicznych sektorów, w których obowiązuje wyłączenie działalności głównej. Zgodnie z Q&A 2.8 Ministerstwa Cyfryzacji oraz opisem w załączniku nr 2, przedsiębiorstwo podlega KSC w zakresie odpadów wyłącznie wtedy, gdy gospodarowanie odpadami stanowi jego podstawową (główną) działalność gospodarczą. Jeżeli firma prowadzi działalność odpadową jedynie jako działalność poboczną — nie podlega KSC w tym sektorze.

Wyłączenie dotyczy wyłącznie sektora gospodarowania odpadami (oraz sektora zaopatrzenia w wodę i zbiorowego odprowadzania ścieków). W pozostałych sektorach KSC obejmuje zarówno działalność główną, jak i poboczną (Q&A 2.8). Główna działalność jest określana zgodnie z PKD (klasyfikacją statystyczną) — warto zweryfikować wpis w CEIDG lub KRS.

4 podsektory odpadowe

Załącznik nr 2 do ustawy o KSC wyodrębnia cztery podsektory w ramach sektora gospodarowania odpadami. Każdy podsektor obejmuje przedsiębiorstwa zobowiązane do wpisu w rejestrze BDO (Baza danych o produktach i opakowaniach oraz o gospodarce odpadami) na podstawie art. 49 ust. 1 ustawy o odpadach.

PodsektorOpis działalności
Zbieranie odpadówPrzedsiębiorstwa polegające na zbieraniu odpadów, wpisane do rejestru BDO
Transport odpadówPrzedsiębiorstwa polegające na transporcie odpadów, wpisane do rejestru BDO
Przetwarzanie odpadówPrzedsiębiorstwa zajmujące się przetwarzaniem odpadów (w tym sortowaniem), nadzorem nad tymi działaniami oraz późniejszym postępowaniem z miejscami unieszkodliwiania odpadów
Sprzedawca/pośrednik w obrocie odpadamiPrzedsiębiorstwa działające jako sprzedawca odpadów lub pośrednik w obrocie odpadami, wpisane do rejestru BDO
Wpis w rejestrze BDO (art. 49 ust. 1 ustawy o odpadach) jest warunkiem koniecznym dla objęcia KSC w sektorze odpadowym. Firma, która prowadzi działalność odpadową jako główną i jest wpisana do BDO oraz spełnia progi wielkościowe — podlega KSC. Sam wpis w BDO nie oznacza jednak automatycznie podlegania KSC — kluczowe są progi wielkościowe i charakter działalności (główna vs. poboczna).

Obowiązki podmiotu ważnego

Firma odpadowa będąca podmiotem ważnym ma obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) zgodnego z art. 8 ust. 1 ustawy o KSC. Obejmuje to szacowanie ryzyka, wdrożenie środków technicznych i organizacyjnych, raportowanie incydentów poważnych oraz poddanie się audytowi na żądanie organu właściwego.

  1. Wdrożenie SZBI opartego na szacowaniu ryzyka w systemach informacyjnych wykorzystywanych do świadczenia usług odpadowych
  2. Opracowanie polityk bezpieczeństwa, procedur reagowania na incydenty i planów ciągłości działania
  3. Raportowanie incydentów poważnych: wczesne ostrzeżenie (24h), zgłoszenie (72h), raport końcowy (1 miesiąc)
  4. Zarządzanie bezpieczeństwem łańcucha dostaw — weryfikacja dostawców systemów IT wspierających logistykę odpadową
  5. Szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e — raz w roku)
  6. Poddanie się audytowi bezpieczeństwa na żądanie organu właściwego (podmiot ważny podlega nadzorowi ex post)

Terminy i kary

Firma odpadowa podlega tym samym terminom wdrożenia co pozostałe podmioty KSC. Niedopełnienie obowiązków grozi karami pieniężnymi — zarówno dla samego podmiotu, jak i dla jego kierownika.

ObowiązekTerminKara za niedopełnienie
Rejestracja w wykazie6 miesięcy od spełnienia kryteriówKara pieniężna do 7 mln EUR lub 1,4% rocznych przychodów
Wdrożenie SZBI12 miesięcy od dnia spełnienia przesłanekKara pieniężna do 7 mln EUR lub 1,4% rocznych przychodów
Pierwszy audyt bezpieczeństwa24 miesiące od dnia spełnienia przesłanek (dotyczy wyłącznie PK; PW — audyt na żądanie organu)Kara pieniężna do 7 mln EUR lub 1,4% rocznych przychodów
Kara dla kierownikaNiezależna od kary dla podmiotuDo 300% wynagrodzenia kierownika
Podmiot ważny podlega nadzorowi reaktywnemu (ex post) — organ właściwy podejmuje kontrolę po uzyskaniu informacji o naruszeniu. Jednak audyt na żądanie może być nakazany w każdym momencie. Warto zadbać o gotowość dokumentacji SZBI, ponieważ kontrola może nastąpić po każdym zgłoszonym incydencie.
Spis treści
Kiedy firma odpadowa podlega KSC
Wyłączenie działalności głównej
4 podsektory odpadowe
Obowiązki podmiotu ważnego
Terminy i kary
Potrzebujesz wsparcia?

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.

Pozostałe artykuły
KlasyfikacjaPodmiot kluczowy vs. ważny — sprawdź swój statusWdrożenieSZBI wg Załącznika nr 4 — przewodnik dla JSTKaryKary finansowe w ustawie o KSC — ile wynoszą?IncydentyRaportowanie incydentów KSC — 24h, 72h, miesiącAudytAudyt bezpieczeństwa KSC — kto i kiedy?ZarządzanieKierownik a cyberbezpieczeństwo — obowiązki KSCWykazRejestracja w wykazie KSC — system S46Łańcuch dostawBezpieczeństwo łańcucha dostaw wg KSCDostawcyDostawca wysokiego ryzyka — procedura KSCNadzórNadzór nad podmiotami KSC — ex ante i ex postTerminyTerminy wdrożenia KSC 2026–2028Sektor finansowyKSC a DORA — obowiązki sektora finansowegoPersonelWeryfikacja niekaralności personelu — art. 8f KSCWspółpracaWymiana informacji o cyberzagrożeniach w KSCKlasyfikacjaNiezależność systemów — wyłączenie z KSCŻywnośćProducent żywności a KSC — obowiązki 2026ICTDostawca chmury a KSC — kto podlega?PrawoKSC a RODO — czym się różnią?ZdrowieSzpital a KSC/NIS2 — lista obowiązkówJSTGmina a KSC — plan wdrożenia krok po krokuKlasyfikacjaCzy podlegam pod KSC? Sprawdź w 5 minutWykazRejestracja KSC krok po kroku — system S46KaryKary za brak rejestracji w KSC — ile grozi?ZarządzanieZarząd a KSC — odpowiedzialność osobista
Potrzebujesz wsparcia we wdrożeniu?

Sprawdzimy status Twojej organizacji, wskażemy obowiązki i zaproponujemy ścieżkę do zgodności z KSC. Pierwsza konsultacja bezpłatna.

🍪 Szanujemy Twoją prywatność

Ta strona wykorzystuje wyłącznie niezbędne pliki cookie zapewniające prawidłowe działanie serwisu (np. zapamiętanie Twojego wyboru w tym oknie). Nie stosujemy plików cookie marketingowych ani analitycznych. Szczegóły znajdziesz w polityce prywatności.